Pular para o conteúdo
SelfHostBR
Segurança

Versão mínima segura do n8n hoje

Alertas de segurança recentes do n8n e as versões que corrigem cada um, atualizados a partir do GitHub.

CSCaio Servidor Publicado em 13/10/2026 3 min de leitura

Dados coletados automaticamente da página de segurança do n8n no GitHub. Esta página é reconstruída sempre que a coleta roda.

Resumo dos últimos 90 dias (30 alertas publicados):

  • Linha 1.x: atualize para 1.123.83 ou superior (maior versão corrigida citada nos alertas dessa linha).
  • Linha 2.x: atualize para 2.42.1 ou superior (maior versão corrigida citada nos alertas dessa linha).

Versão mais recente publicada: 2.43.4 (12/10/2026).

Isto é um cálculo automático a partir dos campos “patched versions” de cada alerta. Confira o alerta específico que afeta você, porque alguns só se aplicam a certos nós ou recursos.

Alertas recentes

PublicadoGravidadeAlertaCorrigido em
30/09/2026médiaCross-Project Agent Ownership Transfer via Client-Supplied Agent ID
GHSA-2r5r-xgvc-rj4p		>= 2.42.1; >= 2.41.4
30/09/2026médiaPrototype Pollution in the AI Workflow Builder Connection Merge
GHSA-3p2g-2wpm-8h3g		>= 1.123.83; >= 2.42.1; >= 2.41.4
30/09/2026médiaUnauthenticated Cross-Project Workflow Execution via Webhook Path-Only Resolution
GHSA-4c7j-qff5-r9cx		>= 1.123.83; >= 2.42.1; >= 2.41.4
30/09/2026médiaCross-User Agent Chat Resume Allows Hijacking Another User's Pending Tool Approval
GHSA-p3pg-xw4f-m72c		>= 2.42.0; >= 2.41.4
30/09/2026altan8n Chat Trigger Stored XSS via customCss Parameter on Hosted-Chat Page
GHSA-x5cw-hm7v-q7mj		>= 1.123.83; >= 2.42.1; >= 2.41.4
30/09/2026altaCode Execution in the Git Node Log Operation via Unneutralized Repository Configuration
GHSA-x8wx-g24x-3549		>= 1.123.83; >= 2.42.1; >= 2.41.4
30/09/2026altaExecute Sub-workflow Inline JSON Allows Member to Spoof Workflow Identity for Credential Authorization, Static Data, and Error-Workflow Dispatch
GHSA-866p-xg8v-g2q7		>= 1.123.83
30/09/2026altaShared Prototype Mutation Through the MCP Workflow-Validation Interpreter Allows Owner Account Takeover
GHSA-5jr4-xmvf-frmj		>= 2.42.1; >= 2.41.4
30/09/2026altaSend-and-Wait HMAC Bypass Allows Unauthenticated Approval of Waiting Executions
GHSA-728h-pmr2-7cgh		>= 2.42.1; >= 2.41.4
30/09/2026altaShared-Workflow Credential Check Misses Agent Node Parameter Credentials
GHSA-x25p-9mr6-cwgp		>= 2.42.1; >= 2.41.4
30/09/2026altaSQL Injection in the Microsoft SQL Node via Expression Interpolation into the Query Field
GHSA-5qpp-pqww-h7fp		>= 2.42.1; >= 2.41.4
30/09/2026altaShared-Workflow Credential Check Misses Nested and Tool Inline Sub-Workflows
GHSA-r6g9-5cpp-ppwr		>= 1.123.83
30/09/2026altaStored XSS via Same-Origin Blob URL in the Binary-Data File Preview
GHSA-29xw-66fq-4xc3		>= 1.123.83; >= 2.42.1; >= 2.41.4
30/09/2026altaUnauthenticated Unbounded OAuth Client Persistence via the Authorize Endpoint
GHSA-3qcw-p65v-c7vq		>= 2.42.1; >= 2.41.4
16/09/2026médiaApproval Bypass in the Send and Wait Node's Approve Within Chat Mode
GHSA-342v-gmh6-738j		>= 2.40.1; >= 2.39.6
16/09/2026médiaUnescaped Parameter Interpolation into Third-Party Query Languages Enables Filter Bypass and Bulk Data Disclosure
GHSA-5pg9-2vqx-r6jm		>= 2.40.1; >= 2.39.6
16/09/2026médiaStored DOM XSS via Resource Locator Dropdown Link Handling
GHSA-c2wp-6fgc-xjq4		>= 1.123.80; >= 2.40.1; >= 2.39.6
16/09/2026médiaMissing Webhook Signature Verification in Webflow Trigger Node Allows Forged Event Injection
GHSA-hwv9-jhc7-f7c4		>= 2.40.1; >= 2.39.6; 1.123.80
16/09/2026altaPath Traversal in the n8n Node Redirects Public API Calls to Unintended Resources
GHSA-89p4-6h98-c7xm		>= 1.123.80; >= 2.40.1; >= 2.39.6
16/09/2026altaPath Traversal and Query Injection via the Supabase Node Table Name
GHSA-rqch-9jrh-cr8w		>= 1.123.80; >= 2.40.1; >= 2.39.6
16/09/2026altaWekan and Baserow Credentials Leak Account Password to Unvalidated Host via preAuthentication Hook
GHSA-gx6g-2hm7-c4xf		>= 2.40.1; >= 2.39.6
16/09/2026altaDynamic Credentials Authorize Endpoint Leaks Session Token to Attacker-Controlled Resolver
GHSA-rx55-8qhx-4hwx		>= 2.40.1; >= 2.39.6
16/09/2026altaCredential Test Endpoint Resolves Project-Scoped Variables from Attacker-Controlled Project ID
GHSA-7gvh-q9w3-wqqx		>= 1.123.80; >= 2.40.1; >= 2.39.6
16/09/2026altaNoSQL Injection in MongoDB Chat Memory Node Allows Unauthenticated Cross-Session Chat History Disclosure
GHSA-w24g-6454-7w7f		>= 1.123.80; >= 2.40.1; >= 2.39.6
16/09/2026altaInline Agent Node-Tool Introspection Decrypts Any Instance Credential Without Ownership Check
GHSA-9rhv-fhr8-7q5r		>= 2.40.1; >= 2.39.6
16/09/2026altaPath Traversal in Signed Resume URL Generation Enables Cross-Project Approval Forgery
GHSA-597w-c3jh-g8fg		>= 1.123.80; >= 2.40.1; >= 2.39.6
16/09/2026altaSupabase Node Filters (String) Mode Allows PostgREST Filter Injection
GHSA-xrqg-3xcp-h45x		>= 1.123.80; >= 2.40.1; >= 2.39.6
16/09/2026altaDuplicate Node IDs Bypass Workflow Credential Tamper Guard, Exposing Credentials to a Shared Workflow Editor
GHSA-7gjv-rcf8-x5qc		>= 1.123.80
16/09/2026altaSQL Injection in Oracle Database Node Delete Table Drop Operation
GHSA-4wf3-rgqr-xcp3		>= 2.40.1; >= 2.39.6; >= 1.123.80
16/09/2026altaCommunity Package Install Validation Bypass via PubSub in Queue Mode Deployments
GHSA-fmmv-p585-7c8x		>= 1.123.80; >= 2.40.1; >= 2.39.6

Como atualizar

Se você instalou com Docker Compose seguindo o nosso guia, o fluxo básico é baixar a imagem nova e recriar o contêiner (docker compose pull e depois docker compose up -d). Faça backup do volume de dados antes, porque é lá que ficam o banco SQLite e a chave de criptografia (docs).

CS

Escrito por

Caio Servidor

Desenvolvedor brasileiro, mantenho meus próprios servidores e automações. Viu um erro ou preço desatualizado? Me avise.

Continue lendo

Guia

Como instalar n8n numa VPS com Docker Compose

Passo a passo com Traefik e HTTPS automático, testado com limites de 1 GB e 2 GB de RAM.

 Preços

Quanto custa hospedar n8n no Brasil

Tabela em reais com preço de entrada e de renovação, fonte e data de cada plano.

 Guia

Instalar n8n com Node.js (sem Docker)

Para quando Docker não é opção: instalação, tempos e consumo de memória medidos.